8월 6일 깃허브가 엔터프라이즈 관리 설정에 allowedMcpServers·deniedMcpServers 키를 정식으로 넣었어요 — 조직 `.github-private` 저장소의 `copilot/managed-settings.json` 한 파일로, 코파일럿이 띄울 수 있는 MCP 서버를 주소(`*` 와일드카드 됨)·실행 명령(인자까지 정확히 일치, 와일드카드 안 됨)·이름 셋 중 하나로 지정해요. 차단이 늘 허용을 이기고, 키를 아예 빼면 전부 허용·빈 배열이면 기본 서버 말고 전부 차단이며, 개인이 클라이언트에 적어 둔 설정으로는 못 풀어요. 다만 문서는 이름이 사용자가 붙이는 값이라 서버 신원을 강제하려면 주소나 명령을 쓰라고 못 박았고, 적용되는 건 VS코드·코파일럿 CLI·코파일럿 앱뿐이라 클라우드 에이전트는 빠지고 젯브레인스는 지원 클라이언트 표에 칸조차 없어요.
용어 풀이
- MCP
- 에이전트가 외부 도구·데이터에 붙을 때 쓰는 연결 규격
- CVSS
- 취약점 심각도를 0~10으로 매기는 공통 점수 체계. 10이 최고 위험
- CLI
- 터미널에 명령을 쳐서 쓰는 프로그램
운영자 인사이트
MCP 위험은 '나쁜 서버'가 아니라 '누가 서버를 정하느냐'예요 — 저장소에 들어온 .mcp.json이 세션 시작 때 실행되고 널리 쓰는 서버에서 CVSS 10.0이 나오는 판이라, 결정권을 조직으로 올릴 자리가 생겼어요. 다만 읽기 편하다고 serverName으로 목록을 쓰면 이름 붙이는 쪽이 개발자라 자물쇠에 열쇠를 같이 주는 셈이니, 저장소가 심는 로컬 서버를 막으려면 serverCommand로 적어야 해요.
여러 관점으로 보기
- 규칙 세부 이름은 사용자가 붙이는 값이라 신원 강제엔 못 쓰고, 여러 층에 걸치면 허용은 교집합·차단은 합집합으로 합쳐지는데 팀에 재정의를 열어 주면 여러 팀에 속한 사람은 가장 느슨한 값을 받아요. GitHub Docs
- 코파일럿 밖 클로드 코드에도 이름까지 똑같은 allowedMcpServers·deniedMcpServers가 관리 설정에 이미 있고, 관리 설정은 명령줄·프로젝트·개인 설정 어느 것으로도 못 덮어써요. Anthropic
- 커서 커서는 팀 관리자 대시보드 설정이 개인 permissions.json과 편집기 목록보다 위라, 개인이 항목을 더 붙일 수 없어요. Cursor